适合哪些情况
- 向海外企业客户销售 AI 产品，被问到“你们有 AI 治理框架吗”“模型如何评估和监控”
- 产品可能落入欧盟《人工智能法》高风险用途，例如招聘、信贷、教育评估
- 需要在投标或合作中展示负责任 AI 的第三方证明
- 已有 ISO/IEC 27001，希望把 AI 风险纳入同一体系
项目如何推进
| 阶段 | 主要工作 | 常见时长 |
|---|---|---|
| 1. AI 盘点与分类 | 建立 AI 系统清单；确定角色；按《人工智能法》做风险分类 | 2–3 周 |
| 2. 差距评估 | 对照 ISO/IEC 42001 条款与附录 A，以及已生效的法律义务 | 2–3 周 |
| 3. 体系建设 | AI 方针、风险与影响评估、数据治理、生命周期与供应商管理 | 1–3 个月 |
| 4. 运行与内审 | 完成首批影响评估、内部审核与管理评审 | 1–2 个月 |
| 5. 认证审核 | 由经认可的认证机构执行第一、二阶段审核 | 视排期 |
我们特别关注的几个点
- 第三方模型：调用外部大模型时，你能从模型提供者处获得哪些文档，以及自己应承担哪些评估责任
- 数据来源：训练与微调数据的合法来源、授权和个人信息处理
- 评估与监控：上线前评估指标、上线后漂移监控和问题处置
- 人工监督：在哪些决策点保留人工复核，如何记录
- 对外告知：用户告知、AI 生成内容标注与客户合同中的 AI 条款
交付分工
认证由经认可的认证机构独立审核和决定。体系建设与合规评估由交付合作方承担；涉及具体法律适用结论时，协调具备资格的律师出具意见。